Serveur de fichiers : DFS, quotas FSRM et clichés instantanés

Un serveur de fichiers ne se limite pas aux partages et aux autorisations. Trois outils de Windows Server le rendent plus simple à utiliser et à exploiter : DFS donne aux utilisateurs un chemin unique vers des partages répartis sur plusieurs serveurs et peut les répliquer ; le gestionnaire de ressources du serveur de fichiers (FSRM) limite l'espace occupé et filtre les types de fichiers ; les clichés instantanés permettent aux utilisateurs de récupérer eux-mêmes une version précédente d'un fichier. Ce chapitre les met en place sur srv-fichiers. Quand les données partent sur un NAS, le même partage SMB intégré au domaine se monte sur TrueNAS : voir Partage SMB et Active Directory sur TrueNAS.

DFS : un chemin unique pour des partages dispersés

Sans DFS, chaque lecteur réseau pointe vers un serveur précis : \\srv-fichiers\Compta. Le jour où l'on remplace srv-fichiers par un nouveau serveur, il faut modifier toutes les GPO, tous les raccourcis, tous les liens dans les documents. Le système de fichiers distribué (DFS) règle ce problème avec deux services indépendants.

Les espaces de noms DFS (DFS-N) créent une arborescence virtuelle, par exemple \\ad.sorbier.example\Partages, dont chaque dossier pointe vers un ou plusieurs vrais partages, appelés cibles. L'utilisateur ouvre \\ad.sorbier.example\Partages\Compta ; le serveur d'espace de noms lui renvoie une référence vers la cible, \\srv-fichiers\Compta, et le poste s'y connecte directement. Changer de serveur revient à changer la cible : les chemins des utilisateurs ne bougent pas.

La réplication DFS (DFS-R) synchronise le contenu d'un dossier entre plusieurs serveurs. Combinée à un espace de noms dont un dossier a deux cibles (une au siège, une dans l'entrepôt de Mâcon), elle permet à chaque site de travailler sur une copie locale. C'est aussi DFS-R qui réplique SYSVOL entre les contrôleurs de domaine.

Deux types d'espaces de noms.

Un espace de noms basé sur un domaine, hébergé par deux serveurs d'espace de noms, reste accessible si l'un d'eux tombe. Et grâce aux sites Active Directory (chapitre 10), les références sont triées : un poste reçoit d'abord les cibles de son propre site.

Créer un espace de noms DFS

Dans la console Gestion du système de fichiers distribués DFS (dfsmgmt.msc) : Nouvel espace de noms, serveur srv-fichiers, nom Partages, type basé sur un domaine ; puis, sur l'espace de noms, Nouveau dossier avec sa ou ses cibles. En PowerShell :

# Sur srv-fichiers : le rôle et ses outils
Install-WindowsFeature FS-DFS-Namespace, FS-DFS-Replication -IncludeManagementTools

# Le dossier racine de l'espace de noms doit d'abord exister et être partagé
New-Item -Path "C:\DFSRoots\Partages" -ItemType Directory
New-SmbShare -Name "Partages" -Path "C:\DFSRoots\Partages" -ReadAccess "Utilisateurs authentifiés"

# L'espace de noms basé sur le domaine (mode Windows Server 2008, « DomainV2 »)
New-DfsnRoot -Path "\\ad.sorbier.example\Partages" -TargetPath "\\srv-fichiers\Partages" -Type DomainV2

# Les dossiers, chacun avec sa cible
New-DfsnFolder -Path "\\ad.sorbier.example\Partages\Compta"     -TargetPath "\\srv-fichiers\Compta"
New-DfsnFolder -Path "\\ad.sorbier.example\Partages\Commercial" -TargetPath "\\srv-fichiers\Commercial"
New-DfsnFolder -Path "\\ad.sorbier.example\Partages\Logistique" -TargetPath "\\srv-fichiers\Logistique"

# Une seconde cible pour ce dossier (dans l'entrepôt de Mâcon)
New-DfsnFolderTarget -Path "\\ad.sorbier.example\Partages\Logistique" -TargetPath "\\srv-macon\Logistique"

Get-DfsnFolderTarget -Path "\\ad.sorbier.example\Partages\Logistique"

Les lecteurs réseau des GPO pointent ensuite vers \\ad.sorbier.example\Partages\Compta. Les autorisations restent celles des partages et des dossiers cibles : DFS ne fait que rediriger.

DFS-R : répliquer un dossier entre serveurs

La réplication DFS est multimaître : une modification faite sur n'importe quel membre se propage aux autres. Elle ne transfère que les parties modifiées des fichiers (compression différentielle à distance, RDC) et peut être planifiée et limitée en bande passante pour ne pas saturer le lien d'une agence.

Le vocabulaire : un groupe de réplication réunit des serveurs membres reliés par des connexions ; il contient un ou plusieurs dossiers répliqués. À la première synchronisation, le membre principal fait autorité : son contenu l'emporte sur celui des autres.

New-DfsReplicationGroup -GroupName "RG-Logistique"
New-DfsReplicatedFolder -GroupName "RG-Logistique" -FolderName "Logistique"
Add-DfsrMember -GroupName "RG-Logistique" -ComputerName "srv-fichiers", "srv-macon"
Add-DfsrConnection -GroupName "RG-Logistique" -SourceComputerName "srv-fichiers" -DestinationComputerName "srv-macon"

Set-DfsrMembership -GroupName "RG-Logistique" -FolderName "Logistique" -ComputerName "srv-fichiers" `
    -ContentPath "D:\Partages\Logistique" -PrimaryMember $true -Force
Set-DfsrMembership -GroupName "RG-Logistique" -FolderName "Logistique" -ComputerName "srv-macon" `
    -ContentPath "D:\Partages\Logistique" -Force

# État de la réplication
Get-DfsrBacklog -GroupName "RG-Logistique" -FolderName "Logistique" -SourceComputerName "srv-fichiers" -DestinationComputerName "srv-macon"

Deux limites à connaître :

• les conflits : si le même fichier est modifié sur les deux serveurs avant que la réplication ne passe, la dernière écriture gagne et l'autre version part dans un dossier caché (ConflictAndDeleted). DFS-R ne verrouille pas les fichiers entre sites : il convient aux données peu modifiées en même temps à deux endroits ;
• ce n'est pas une sauvegarde : une suppression ou un chiffrement par un rançongiciel se répliquent aussi vite qu'une modification légitime. Il faut toujours une vraie sauvegarde (chapitre 11).

FSRM : quotas, filtres de fichiers et rapports

Le gestionnaire de ressources du serveur de fichiers (FSRM, rôle FS-Resource-Manager, console fsrm.msc) contrôle l'usage des partages.

Les quotas FSRM limitent la taille d'un dossier, quel que soit l'auteur des fichiers.

• Un quota inconditionnel (hard) refuse l'écriture quand la limite est atteinte.
• Un quota conditionnel (soft) laisse écrire, mais déclenche des alertes : il sert à surveiller avant de limiter.
• Des seuils (80 %, 95 %, 100 %) envoient un courriel, écrivent un événement ou lancent une commande.
• Un quota automatique sur D:\Redirections applique le modèle à chaque sous-dossier, existant ou futur : chaque utilisateur a sa propre limite.

Les quotas NTFS, plus anciens, fonctionnent autrement : ils limitent l'espace occupé par un utilisateur sur un volume entier, d'après le propriétaire des fichiers (propriétés du volume > onglet Quota). FSRM est plus souple et plus utilisé.

Les filtres de fichiers bloquent ou signalent l'enregistrement de certains types de fichiers, reconnus par leur extension : vidéos et musique sur le partage commercial, exécutables dans les dossiers des utilisateurs. Un filtre actif bloque, un filtre passif se contente d'alerter. Comme le filtrage se fait sur l'extension, il n'arrête pas un utilisateur décidé qui renomme son fichier : c'est un outil de bon usage, pas de sécurité.

On s'en sert aussi pour détecter un rançongiciel : un filtre passif sur les extensions qu'ajoutent les rançongiciels connus, ou sur un fichier piège, déclenche une alerte (et éventuellement une commande qui bloque le compte en cause) dès que des fichiers chiffrés commencent à apparaître. C'est une alarme précoce, pas une protection.

Les rapports de stockage listent les gros fichiers, les doublons, les fichiers anciens jamais ouverts, l'occupation par propriétaire : utile avant d'acheter des disques.

Install-WindowsFeature FS-Resource-Manager -IncludeManagementTools

# Quota inconditionnel de 50 Go sur le partage Commercial
New-FsrmQuota -Path "D:\Partages\Commercial" -Size 50GB -Description "Limite du service commercial"

# Quota automatique de 5 Go pour chaque dossier de redirection, à partir d'un modèle
New-FsrmQuotaTemplate -Name "Redirection 5 Go" -Size 5GB
New-FsrmAutoQuota -Path "D:\Redirections" -Template "Redirection 5 Go"

# Filtre actif : pas de fichiers audio et vidéo sur le partage Commercial
# (le nom du groupe de fichiers intégré dépend de la langue du serveur)
New-FsrmFileScreen -Path "D:\Partages\Commercial" -IncludeGroup "Fichiers audio et vidéo" -Active

Les clichés instantanés des dossiers partagés

Un utilisateur écrase un tableau par erreur à 11 h. Plutôt que de lancer une restauration depuis la sauvegarde, il peut récupérer lui-même la version de 7 h, grâce aux clichés instantanés (shadow copies, fondés sur le service de cliché instantané des volumes, VSS).

Le cliché instantané est une photographie du volume à un instant donné. Il ne copie pas tout le volume : il conserve seulement les blocs modifiés depuis la photographie, dans une zone de stockage réservée. Les utilisateurs y accèdent par clic droit > Propriétés > Versions précédentes sur un fichier ou un dossier du partage, et peuvent ouvrir, copier ou restaurer une ancienne version.

Activation : propriétés du volume D: > onglet Clichés instantanés > Activer. La planification par défaut prend un cliché à 7 h et à 12 h, du lundi au vendredi. On règle aussi l'espace maximal réservé, idéalement sur un autre volume. Un volume garde au plus 64 clichés : au-delà, ou quand l'espace réservé est plein, les plus anciens sont supprimés.

# Réserver jusqu'à 20 Go sur E: pour les clichés du volume D:
vssadmin add shadowstorage /for=D: /on=E: /maxsize=20GB

# Prendre un cliché immédiatement (commande disponible sur Windows Server)
vssadmin create shadow /for=D:

# Lister les clichés existants
vssadmin list shadows /for=D:

Exercices